DSGVO-Grundlagen: Was kleine Unternehmen wirklich brauchen

Kundendaten, Mitarbeiterdaten, E-Mail-Verkehr, Videoüberwachung, Website: Personenbezogene Daten fallen in jedem Unternehmen an. Die DSGVO verlangt, dass diese Daten rechtmäßig, transparent, zweckgebunden und sicher verarbeitet werden. Für kleine Unternehmen lassen sich die Pflichten auf wenige Kernpunkte herunterbrechen.

1. Das Verzeichnis der Verarbeitungstätigkeiten

Im Verarbeitungsverzeichnis (Art. 30 DSGVO) halten Sie fest, welche personenbezogenen Daten Sie zu welchem Zweck verarbeiten, wer Zugriff hat, an wen Daten übermittelt werden und wann sie gelöscht werden. Die oft zitierte Ausnahme für Unternehmen unter 250 Beschäftigten greift in der Praxis kaum, weil sie nicht für regelmäßige Verarbeitungen gilt – etwa die Lohnabrechnung oder Kundenverwaltung.

2. Technische und organisatorische Maßnahmen (TOM)

Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Hier treffen Datenschutz und IT-Sicherheit aufeinander. Typische Maßnahmen sind:

• Zugriffs- und Berechtigungskonzepte, sichere Passwörter und Mehr-Faktor-Anmeldung
• Verschlüsselung von Geräten, Datenträgern und Übertragungen
• Regelmäßige Backups mit getesteter Wiederherstellung
• Aktuelle Software, Virenschutz und Firewall
• Schulung und Verpflichtung der Mitarbeitenden auf Vertraulichkeit

Die Maßnahmen sollten dokumentiert und regelmäßig überprüft werden.

3. Auftragsverarbeitung

Wenn Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeiten – etwa Cloud-Anbieter, Lohnbüro, Hosting oder IT-Dienstleister mit Fernwartungszugriff – benötigen Sie einen Auftragsverarbeitungsvertrag (AV-Vertrag) nach Art. 28 DSGVO. Achten Sie bei Anbietern außerhalb der EU zusätzlich auf eine zulässige Grundlage für die Datenübermittlung.

4. Informationspflichten und Betroffenenrechte

Betroffene müssen informiert werden, was mit ihren Daten geschieht – etwa über die Datenschutzerklärung auf Ihrer Website oder Informationsblätter für Kunden und Mitarbeitende (Art. 13 und 14 DSGVO). Anfragen auf Auskunft, Berichtigung oder Löschung müssen Sie grundsätzlich innerhalb eines Monats beantworten. Legen Sie fest, wer im Unternehmen dafür zuständig ist.

5. Datenpannen melden

Geht ein unverschlüsseltes Notebook verloren, wird eine E-Mail an den falschen Empfänger geschickt oder werden Systeme gehackt, kann eine meldepflichtige Datenschutzverletzung vorliegen. Die Meldung an die Aufsichtsbehörde muss in der Regel innerhalb von 72 Stunden erfolgen (Art. 33 DSGVO). Zuständig ist für Unternehmen in Brandenburg die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht (LDA Brandenburg) – übrigens mit Sitz in Kleinmachnow.

6. Braucht mein Unternehmen einen Datenschutzbeauftragten?

In Deutschland ist ein Datenschutzbeauftragter in der Regel Pflicht, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Unabhängig von der Größe gilt die Pflicht unter anderem, wenn besonders sensible Daten im Kern der Tätigkeit verarbeitet werden. Die Pflichten der DSGVO gelten aber auch ohne Datenschutzbeauftragten in vollem Umfang.

Checkliste: DSGVO-Basics

• Verzeichnis der Verarbeitungstätigkeiten liegt vor und ist aktuell.
• Technische und organisatorische Maßnahmen sind umgesetzt und dokumentiert.
• Mit allen Dienstleistern, die Daten verarbeiten, bestehen AV-Verträge.
• Datenschutzerklärung und Informationsblätter sind aktuell.
• Mitarbeitende sind geschult und auf Vertraulichkeit verpflichtet.
• Es gibt ein Lösch- und Aufbewahrungskonzept.
• Ein Ablauf für Datenpannen und Betroffenenanfragen ist festgelegt.

Hinweis: Dieser Ratgeber dient der allgemeinen Information und ersetzt keine Rechtsberatung. Rechtliche Angaben entsprechen dem Stand der letzten Aktualisierung.